On 08/12/2023 19:03, Piotr Gałka wrote:
>> Trodno to nazwać zabezpieczeniami. To normalne praktyki w normalnej
>> firmie programistycznej, ktore *przypadkowo* są również
>> zabezpieczeniem przed "wstrzykiwaniem" podejrzanwgo kodu. To darmowe
>> ciastko.
> Żyję w świecie embedded (choć sam nie napisałem ani jednej linijki kodu
> dla procesora) i nie rozumiem o czym piszesz, a chciałbym choć pobieżnie
> (na poziomie 'dla idiotów') rozumieć.
> Gdzie się mylę?
> Procesor ma jakieś złącze do wgrywania kodu (nie chodzi o wykonanie
> upgrade, tylko wgrywanie 'od zera').

Dlaczego to złacze do wgrywania kodu akceptuje dowolny kod? Dlaczego w
ogóle akcpetuje kod?

Dlaczego, z przyczyn bezpieczeństwa, nie wybrano procesora
sprawdzajacego podczas bootowania podpis firmware/flash przed
uruchomieniem kodu? Takie procesory są w powszechnym użyciu.

Jakiś OTP rom, który po wypaleniu (w procku) uniemożliwi wykonanie
niepodpisanego kodu w dalszej częsci flasha. Możesz programować flash na
zdrowie, ale jesli nie podpiszesz, to nie wystartuje.

Przykładem takiego rozwiązania jest konsola Wii, która uniemożliwia
uruchomienie firmware bez podpisu. Jest jednorazowo, w fabryce,
programowana wsadem sprawdzającym podpisy i dalej jest już chain-of-trust.

Zabawne: do dzisiaj nie złamano w pełni tego zabezpieczenia, mimo starań
dziesiątek ludzi. A to zabawka. Znaleziono tylko exploity.

> Jeśli ktoś, jakoś wejdzie w posiadanie całego kodu dla danego urządzenia
> (w tym przypadku pociągu) to może to oprogramowanie dowolnie
> zmodyfikować

Wtedy jest niepodpisane. Prawidłowo zaprogramowany kontroler z funkcją
chain-of-trust *NIE* uruchomi kodu we flash jesli nie zgadza się podpis.

Oczywiście, procesor musi mieć taką możliwość. Ale przecież w tych
pociągach nie wstawia się AVRa, prawda?

> i jeśli miałby dostęp do sprzętu to nie widzę metody, która
> uniemożliwiła by mu wymianę kodu oryginalnego na ten przerobiony.

OTP boot rom z kodem kryptograficznym weryfikującym firmware.

https://www.security-embedded.com/blog/2016/7/18/har
dware-software-and-embedded-trust

W takim systemie jedyną drogą dostania się do środka jest exploit.

> Skoro hakerzy potrafią się włamać do najpilniej strzeżonych serwerów to
> zapewne i do komputera autora tego oprogramowania mogli by się włamać.

To jest niebezpieczne. Sam odczyt firmware może prowadzić do procesu
audytu, który szuka exploitów, to znaczące ułatwienie.

Ale brak weryfikacji flasha za pomocą kryptografii jest niedopuszczalny
w krytycznych rozwiązaniach dla bezpieczeństwa.

Świadomość takich rozwiązań jest bliska zeru, w środowisku programatorów
embedded.

>> To dokładnie tak to wygląda. Nie kontrolują co kompilują i instalują w
>> pociągach.
> Jak niby miała by wyglądać kontrola oprogramowania, które ktoś, bez
> naszej kontroli nad tym przerobił.

chain-of-trust.

Nawet PC to implementują od wielu lat. To tylko strach przed aferą na
razie daje nam namiastkę swobody. Przyjdą czasy, że nic poza windowsem
nie uruchomisz, tylko MS będzie mógł podpisać swój bootloader. Z reszta
już przyszło: niektóe komputerki Yoga nie odpalają linuxa. Nie jest
podpisany.